Fi rewa 11 -Systeme. Norbert Pohlmann. Sicherheit für Internet und Intranet. An International Thomson Publishing Company

Transkript

1 Norbert Pohlmann Fi rewa 11 -Systeme Sicherheit für Internet und Intranet An International Thomson Publishing Company Bonn Albany Belmont Boston Cincinnati Detroit Johannesburg London Madrid Melbourne Mexico City New York Paris Singapore Tokyo THOMSON PUBLISHING

2 i Vorwort 17 1 Einleitung: Gesellschaftlicher Wandel und IT-Sicherheit 23 2 Ziele von Firewall-Systemen Analogien zu Firewall-Systemen Zielsetzung eines Firewall-Systems 36 3 TCP/IP-Technologie für Internet und Intranet Von den Anfängen bis heute Vorteile der TCP/IP-Technologie Das OSl-Referenzmodell TCP/IP-Protokollarchitektur Internet-Adressen Die Kommunikationsprotokolle IP-Protokoll Routing Protokolle ICMP Portnummern UDP TCP DNS Telnet FTP SMTP HTTP NNTP 69 4 Bedrohungen aus dem Netz Angriffsmöglichkeiten in Kommunikations-Systemen Passive Angriffe 72 7

3 Aktive Angriffe 76 Zufällige Verfälschungsmöglichkeiten 79 Weitere Aspekte potentieller Bedrohungen bei der Kommunikation über das Internet 80 Angriffstools aus dem Internet 82 Implementierungsfehler in Anwendungen und fehlerhafte Konfiguration 82 Wie hoch ist das Risiko? 83 Schadenskategorien und Folgen 85 Verstoß gegen Gesetze/Vorschriften/Verträge 85 Beeinträchtigung der persönlichen Unversehrtheit 86 Beeinträchtigung der Aufgabenerfüllung 86 Negative Außenwirkung 86 Finanzielle Auswirkungen 87 Angriffsmethoden und prinzipielle Gegenmaßnahmen auf der Grundlage der TCP/IP-Protokolle 88 Idee eines Angriffes 88 Analyse des Netzes mit Hilfe von Scannerprogrammen 89 Paßword-Snooping und IP-Maskerade 91 Nutzung einer falschen Konfiguration 93 Hopping (Telnet) 95 Nutzung von Implementierungsfehlern in Anwendungen wie z.b. sendmail 98 IP-Adressen-Spoofing 100 ICMP-Angriffe 101 Internet-Routing-Angriffe 103 Zusammenfassung Elemente eines Firewall-Systems Aktive Firewall-Elemente Architektur von aktiven Firewall-Elementen Designkonzept aktiver Firewall-Elemente Packet Filter Allgemeine Arbeitsweise von Packet Filtern Überprüfungen auf der Netzzugangsebene Überprüfungen auf der Netzwerkebene Überprüfungen auf der Transportebene Strategien für den Aufbau und die Bewertung der Filterregeln Beispiel für den Einsatz eines Packet Filters

4 Dynamischer Packet Filter Benutzerorientierter Packet Filter Sicherheitsrelevante Informationen in einem Packet Filter Realisierungsformen für Packet Filter Anwendungsgebiete von Packet Filtern Zustandsorientierte Packet Filter Application Gateway Allgemeine Arbeitsweise des Application Gateway Die Proxies Application Level Proxies SMTP Proxy Benutzerorientierte Application Level Proxies Telnet Proxy FTP Proxy HTTP Proxy Authentication Proxy Spezielle Proxies Circuit Level Proxies Anwendungsgebiete von Application Gateways Security Management für aktive Firewall-Elemente Konzepte für Firewall-Systeme Ausschließlicher Einsatz eines Packet Filters Ausschließlicher Einsatz eines Application Gateway Kombination von Firewall-Elementen Packet Filter und single-homed Application Gateway Packet Filter und dual-homed Application Gateway Zwei Packet Filter als Screened Subnet und ein single-homed Application Gateway Zwei Packet Filter als Screened Subnet und ein dual-homed Application Gateway (High-level Security Firewall-System) Möglichkeiten eines High-level Security Firewall-Systems Internet Server Intranet Server Mehrere Application Gateways parallel Das richtige Firewall-Konzept für jeden Einsatzfall Mail-Konzept DNS-Konzepte

5 7 Firewall-Systeme und Verschlüsselung Sicherheitsmechanismen, die für die Verschlüsselung und die digitale Signatur notwendig sind Private-Key-Verfahren Public-Key-Verfahren One-Way-Hashfunktion Hybride Verschlüsselungstechnik Zertifikations-Systeme Chipkarte (SmartCard) Objektorientierte Sicherheit: Verschlüsselung von Dokumenten und digitale Signatur Briefumschlag und Signatur für die elektronische Post Signatur eines Dokumentes Verschlüsselung eines Dokuments Prüfung der Vertrauenswürdigkeit des Dokuments und seine Entschlüsselung Verifikation von Signaturen Sicherheitsdienste des Sicherheitssystems Die Digitale Signatur und die Objektverschlüsselung aus Sicht des Benutzers Objektverschlüsselung und Firewall-Systeme Der elektronische Vertrag: Die Rechtsform der Zukunft? Sicherheitsvorteile Risiken elektronischer Verträge Unterschiedliche Konzepte zur Realisierung von objektorientierter Sicherheit Privacy Enhanced Mail / PEM Pretty Good Privacy /PGP Abschließender Vergleich zwischen PEM und PGP TeleTrusT Deutschland MailTrusT-Projekt Sicherheitssystem als transparente Lösung Black-Box-Lösung Security Sublayer im Endgerät: End-to-end-Verschlüsselung Sicherheit in LAN-Segmenten Kopplung von LAN-Segmenten mit einer Security Bridge Kopplung von LAN-Segmenten über öffentliche Netze Bildung von kryptographisch gesicherten logischen Netzen (VPN) PC Security Komponente Remote-Ankopplung Kopplung von mobilen Rechnersystemen (Notebooks)

6 Kopplung von Heimarbeitsplätzen Transparente Verschlüsselung und Firewall-Systeme Vergleich zweier Konzepte: Transparente Sicherheit vs. Objektsicherheit Authentikationsverfahren Identifikation und Authentikation Generelle Authentikationsverfahren Paßwort-Verfahren Einmal-Paßwort Challenge-Response-Verfahren Authentikationsverfahren für Firewall-Systeme S/Key (MD5) Authentikationsverfahren mit Security Token Signaturkarte (Chipkarte) Verschiedene Firewall-Lösungen und ihre Bewertung Public Domain Software oder ein Firewallprodukt? Public Domain Software Firewall-Produkte Softwarelösung oder Turn-Key-Lösung? Was bietet eine Softwarelösung? Was ist eine Turn-Key Lösung? Kriterien für die Beurteilung der tatsächlichen Sicherheitsleistung eines Firewall-Produktes Offene und transparente Sicherheit Geprüfte, nachweisbare Sicherheit Sicherheit ohne staatliche Restriktionen Praktischer Einsatz von Firewall-Systemen Sichere Kopplung des eigenen Intranet an das Internet Internet Server Intranet Security Höhere End-to-end-Sicherheit Abschottung von Organisationseinheiten untereinander Skalierbare Sicherheit Externe Anbindung (Remote-Zugriff und Heimarbeitsplätze)

7 10.5 Ankopplung besonderer Organisationseinheiten Externe Modem-Anschlüsse Modem-Verbindungen aus dem unsicheren Netz in das zu schützende Netz Virengefahr Integration von Viren-Scannern am Common Point of Trust Weitere technische, personelle und organisatorische Maßnahmen Ein Firewall-System ist mehr als ein Produkt Firewall-Sicherheitspolitik Sicherheitsziele Darstellung der zu schützenden Ressourcen Festlegung von Kommunikationsanforderungen Festlegung von Diensten und Anwendungen Zusätzliche Sicherheitsmaßnahmen Infrastruktur Organisation Technische Realisierung Security Management Benutzer Allgemeine Sicherheitsmaßnahmen Personal Security Management Benutzer Notfall Grenzen eines Firewall-Systems Hintertüren Interne Angriffe Anwendungsdatenorientierte Angriffe Eine richtige Sicherheitspolitik und richtige Umsetzung der Sicherheitpolitik Trittbrettfahrer Besondere Aufgabenstellungen bei der Verwendung von Firewall-Systemen Network Address Translation Firewall-System und Network Address Translation Probleme für Netze, die mit illegalen IP-Adressen arbeiten Domainen-Namen

8 12.3 Verwaltung mehrerer Firewall-Systeme mit Hilfe eines Security Managements Geschachtelte Firewall-Konstellationen Ausfallsicherheit Weiterführende Aufgabenstellungen beim Einsatz von Firewall-Systemen Logbuch - Belastung oder Nutzen? Ziele der Protokollierung Erkennung von Sicherheitsverletzungen Beweissicherung der Handlungen von Benutzern Protokollierung von Ereignissen Erkennen von Sicherheitsverletzungen durch die Auswertung von Protokolldaten der Logbücher Erkennen von bekannten sicherheitsrelevanten Aktionen Erkennen von Anomalien Vergleich der verschiedenen Auswertungskonzepte zur Erkennung von Sicherheitsverletzungen Alarmierung Beweissicherung Schutz der Protokolldaten Reaktionen auf eine Sicherheitsverletzung Datenschutzaspekte Java und ActiveX Java ActiveX Anschaffung und Betrieb eines Firewall-Systems Beschaffungsphase eines Firewall-Systems Aufwand für die Beschaffungsphase Installationsphase eines Firewall-Systems Aufrechterhaltung des Betriebs eines Firewall-Systems Rechteverwaltung Analyse der Logbuchdaten Einrichtung neuer Dienste Genereller administrativer Aufwand für das Firewall-System Auswertung der Logbuchdaten auf dem Security Management Sicherer Betrieb eines Firewall-Systems Zusammenfassung der Kosten Evaluierung und Zertifizierung von Firewall-Systemen

9 ITSEC-Zertifizierung NCSA-Zertifizierung Weiterentwicklung von Firewall-Systemen Höhere Geschwindigkeiten Identifikations-und Authentikationsverfahren Neue Proxies für neue Dienste Protokollauswertung Recht im Internet Aktuelle Formen des Delikts»Computerkriminalität« Persönlichkeitsrechtsverletzungen Wirtschaftsdelikte Computermanipulationen Computersabotage und-erpressung Hacker Wirtschaftsspionage Softwarediebstahl und andere Formen der Produktpiraterie Sonstige Delikte Rechtsfragen Paradigmenwechsel und Perspektiven 366 Gesellschaftliche Veränderungen Zusammenfassung 368 A Anhang A: Sicherheitsstandards 369 B Anhang B: Wichtige Adressen 377 C Anhang C: Legende 379 D Anhang D: Firewall-Produkte 381 E Anhang E: Literaturverzeichnis 383 F Anhang F: Sicherheitsanforderungen an Internet-Firewalls (BSI) 387 F.l Einleitung 387 F.2 Gefährdungen bei der Benutzung des Internet 388 F.2.1 Vielfalt der Netzdienste 388 F.2.2 Verlust der Vertraulichkeit und Integrität

10 F.2.3 F.2.4 F.3 F.4 F.4.1 F.4.2 F.4.3 F.5 F.6 G Konzeptionsfehler Mißbrauch von frei verfügbaren Informationen Schutzmöglichkeiten Forderungen an Firewalls Forderungen zur Abwehr von Angriffen auf die Firewall- Anordnung Forderungen zur Abwehr von Angriffen aus dem Internet auf das zu sichernde Netz Organisatorische Maßnahmen Adressen Literatur Anhang G: Glossar, Abkürzungen Index